DeFi前車之鑑，复盤DeFi中的攻擊邏輯
編者按：本文來自加密谷Live（ID：cryptovalley），作者：Mika Honkasalo，翻譯：Liam，Odaily經授權轉載。
摘要
越來越多的人希望通過攻擊智能合約來竊取資金，他們正在利用當智能合約組合在一起時出現的漏洞進行攻擊。
編者按：本文來自
加密谷Live（ID：cryptovalley）
加密谷Live（ID：cryptovalley）
，作者：Mika Honkasalo，翻譯：Liam，Odaily經授權轉載。
摘要
越來越多的人希望通過攻擊智能合約來竊取資金，他們正在利用當智能合約組合在一起時出現的漏洞進行攻擊。
編者按：本文來自
加密谷Live（ID：cryptovalley）
加密谷Live（ID：cryptovalley）
，作者：Mika Honkasalo，翻譯：Liam，Odaily經授權轉載。
摘要
越來越多的人希望通過攻擊智能合約來竊取資金，他們正在利用當智能合約組合在一起時出現的漏洞進行攻擊。
編者按：本文來自
加密谷Live（ID：cryptovalley）"重入"，作者：Mika Honkasalo，翻譯：Liam，Odaily經授權轉載。
越來越多的人希望通過攻擊智能合約來竊取資金，他們正在利用當智能合約組合在一起時出現的漏洞進行攻擊。
2020年，對DeFi的攻擊中，被套取或盜取的總金額已經達到了3600萬美元。但因為dForce的攻擊者退還了被盜的2500萬美元，所以實際金額大約有1100 萬美元。
與傳統的網絡犯罪相比，區塊鏈上的信息對攻擊者來說更有價值，因為對智能合約的成功攻擊可以帶來直接的經濟回報。傳統被黑客攻擊的信息，如被盜取的個人信息，還需要通過出售來賺錢，但智能合約上是直接存有資產的。
重入
在以太坊早期，大多數攻擊都是基於找到個別漏洞，讓攻擊者有能力凍結或耗盡智能合約。 2016年臭名昭著的DAO黑客事件就是如此，1.6億美元的ETH被盜，以太坊最終因此分叉。同樣，2017年的Parity多簽襲擊讓黑客盜取了3000萬美元，Parity錢包中1.5億美元被凍結，都是這類漏洞造成的後果。
總的來說，現在的安全性有所提高，特別是那些關注度比較高的項目。它們的安全性提升是由於用戶對審計的期望和圍繞測試的工具改進推動的。最近DeFi中最大的安全問題是dForce 2500萬美元的數字資產在藉貸市場中被盜。然而，由於攻擊者的IP地址被發現並與新加坡警方共享，因此這些資金被退了回去。
二級標題
想像一下，一個合約有以下四個提現步驟：
重入
用戶調用合同，準備從合同中提取所有的資金。
合約將用戶在合約中的資金發送給用戶。
二級標題
重入漏洞允許惡意用戶在合同完全執行之前再次調用合同（"二級標題
）。在上面的例子中，攻擊者可以在第三步和第四步之間重新進入合約，並在用戶的餘額更新之前再次提取。通過重複這個過程，他們可以從合約中提取所有存在的資金。
這個原理被用來攻擊dForce，當合約認為用戶在持續增加imBTC抵押品（一種ERC777代幣）數量的時候--然後合約就會允許用戶從系統中藉到更多資金。攻擊者將他們假的imBTC抵押品增加到遠遠超過2500萬美元，然後以藉貸交易的方式提取出dForce中的所有流動資金。
區塊鏈上的智能合約是基於去信任(permissionless)來和用戶以及其他智能合約交互的。對於那些設計智能合約的人來說，很難考慮到未來有人可能與他們的合約進行交互的每一種方式。其他人可以構建一種智能合約，以一種原作者不希望看到的方式與合約進行交互。
在3月12日（
二級標題
與dForce案例不同的是，Uniswap的開發團隊在這並沒有真正的責任，他們幾乎不可能阻止人們落入這種類型的陷阱。即使Uniswap團隊確保他們的交互界面不允許用戶將流動性添加到一個可能被耗盡的池中，他們也無法阻止其他交互界面建立在允許它的智能合約之上。事實上，這種特殊的攻擊方式在多年前就已經被廣泛討論過。
二級標題
